ドメインコントローラの同期を取るには？

Question

サーバー管理をしている者ですが、困ったことが起きているので経験者の方がおられましたら、教えて下さい。

ActiveDirectoryのPDCサーバーにHW障害が発生し、部品交換をした後に、ADのアクセス権が正しく設定できなくなってしまったり、ログインができなくなったりする現象が起きています。

DCDIAGやREPADMINなどのコマンドで調べると、PDCとBDCの同期が取れてないことが判りました。
PDCは正常のようですが、BDCにログインしている時にドメイン情報がうまく取れないようです。

方法として、ネットで調べると様々なことが書いてあり、
１．BDC側でレプリケーションのサービスを止めて、再起動すればOKだとか、
　net stop ntfrs
　rd /s /q c:\windows
tfrs\jet
　net start ntfrs
２．BDCを一旦、普通のサーバーに降格させて再度PDCにするとか、
　dcpromo /forceremoval
　ドメインからの解除
　ntdsutil
書いてあるのですが、いずれも再起不能になってしまうのが恐ろしくて実施に至ってません。
単純に考えると、１の手段のほうが万が一のダメージの場合も影響が少ないような気がします。

起因がHW交換に伴うものなので、担当したCEの責任を追及しているのですが、CE部隊ではこうしたSE作業が出来るメンバーが居ないらしくなかなか動いてくれません。
HWとSWの狭間というか、こうした問題は保守契約作業の範疇に入らないのも変な気がします。

簡単に解決できるものなら行いたいのですが、そうした問題なんでしょうか？
経験者の方がおられましたらアドバイス頂けたら有難いです。

maesen · Accepted Answer

dcdiagの結果を見るとセキュリティチャンネルが破損しているためにレプリケーションが出来ない状態のように見えます。

一応ここが参考になるかもしれません。
http://support.microsoft.com/kb/288167/ja

ただ、載せて頂いたdcdiagの結果は全てでは無いとのことですので、他にも問題を抱えているかしれません。
そのため、BBBを降格する方向の方が良いと思います。（つまり、2の手順）
ただ、OSがWindows Server 2003 R2ということですのでWindows Server 2008以降で追加されたdcpromo /forceremovalは使用できません。
こちらの手順を実施することになります。
http://support.microsoft.com/kb/216498/ja

なお、上記のWebサイトに書かれている方法でADからBBBの情報を削除してもBBBは壊れたDCのままですのでBBBはOS再インストールするほうがいいでしょう。

DCの強制的な降格はもう何十回と実施していますが、特にトラブルが発生したことはありません。
手順をきちんとして作業すれば問題無いと思います。

EF_510 · Answer

操作マスターの時刻は正しいですか？
どうもActiveDirectoryがきちんと構成されているのか疑問になってきました。

まず、PDCとやらの時刻を正しく構成してください。
次にドメインメンバーと時刻の同期が取れているかを確認します。
最後に追加のコントローラーを構成します。（２の手順を実施する）

マスターになるコントローラーの時刻があやふやだから他のコントローラーに影響するのではないですか？

そして、それはハードウェアの問題ではなく、システム構成の問題です。

maesen · Answer

詳細な情報が無いのでなんともいえませんが、
ただ、詳しい情報が無くこんな感じのことが発生したという情報で解決できるほどには簡単なものでは無いように思います。
dcdiagでfailedがあるのならその部分だけでも提示するとか、イベントログにも関連のエラーが出ているはずなのでそれを提示されたほうがよろしいかと。

1.の手順はファイルレプリケーションの再構成なので、問題がファイルレプリケーションにあり他の問題が発生していなければ解決の可能性があります。
内容を見る限りではこれでは解決しない可能性が高いと思われます。
そもそもWin2008R2以降の場合はFRSを使用していないかもしれないですし。

実施するのならば2でしょう。
その場合は、他の方も書かれていますがバックアップと操作マスタの確認は必須です。
問題となっているDCを切り離すことが出来たらOS再インストールするつもりならばdcpromo /forceremovalは不要で
こちらだけを実施すればいいでしょう。
http://support.microsoft.com/kb/216498/ja

あと、これも他の方も書かれていますがPDCとBDCはやめましょう。
NT4.0時代つまりActive DirectoryではないNTドメインの用語なので。
用語が正しくないということは理解していません言っているようなものですから。
PDC、BDCと言っていると問題の本質が理解できなくなるのが懸念されます。

m-take0220 · Answer

＞ DCDIAGやREPADMINなどのコマンドで調べると、PDCとBDCの同期が取れてないことが判りました。

同期がとれていないというのがどんな状況なのかによりますが。
FSMOを担っていたDCを、役割を移動せずに停止したために、本来1つのDCにしかないはずの機能が複数のDCで動作して、お互いの変更が反映されなくなるというのは、良くある障害ですが。

ActiveDirectoryなら、PDC、BDCという呼び方はしないので、その辺から勉強したほうがいいかもしれません。PDCエミュレータという役割は存在するので、PDCという言葉は使うことがあっても、BDCはまず使いません。

＞ いずれも再起不能になってしまうのが恐ろしくて実施に至ってません。

どんな操作でも、危険はつきものです。
以前の状態に戻せるようにバックアップ等の対策をしてから作業するべきです。
環境が用意できるのであれば、P2Vで仮想マシンを作成して、仮想環境で試してみるという手もあります。

EF_510 · Answer

ここで言うところの「再起不能」とはどのような状態ですか？

とりあえずOSとかは書きましょう。

操作マスター（FSMO)などがどこにいるのかをはっきりさせて、まずは1台に集約してください。

BDCがドメインのサービスだけを提供しているのであれば降格させる手順の方が手っ取り早いかもしれません。最悪、同じアドレスでインストールをやり直せば良いだけですし…

また、PDCのハードウェア保守が原因でBDCが…なのにCEの責任はないと思いますし、現在の主流ではハードウェアの保守契約とOSなどの保守契約は明確に別れています。

ドメインコントローラの同期を取るには？

dcdiagの結果を見るとセキュリティチャンネルが破損しているためにレプリケーションが出来ない状態のように見えます。

この回答への補足

操作マスターの時刻は正しいですか？

詳細な情報が無いのでなんともいえませんが、

＞ DCDIAGやREPADMINなどのコマンドで調べると、PDCとBDCの同期が取れてないことが判りました。

ここで言うところの「再起不能」とはどのような状態ですか？

似たような質問が見つかりました

関連するカテゴリからQ&Aを探す

デイリーランキングこのカテゴリの人気デイリーQ&Aランキング

マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング